CVE-2026-2171: Injeção de SQL no login do Online Student Management System 1.0 da code-projects
A CVE-2026-2171 é uma falha de injeção de SQL no componente Login (accounts.php) do Online Student Management System 1.0 da code-projects, explorável remotamente pelos argumentos username e password. O NVD atribui pontuação base CVSS 3.1 de 9.8, e a descrição informa que existe exploit público. O registro não indica versão corrigida e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-2171 descreve uma fraqueza de injeção de SQL no componente Login do Online Student Management System 1.0 da code-projects. Segundo o registro, a função afetada está no arquivo accounts.php e envolve os argumentos username e password. A CVE foi publicada em 2026-02-08 e está documentada na entrada da VulDB, na entrada do NVD e no registro CVE.
Impacto
O registro informa que o ataque pode ser iniciado remotamente. A pontuação base CVSS 3.1 do NVD é 9,8 (crítica), com vetor que descreve acesso pela rede, baixa complexidade, nenhum privilégio, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Uma injeção em um fluxo de autenticação pode expor ou alterar o banco de dados da aplicação, mas as consequências concretas dependem da implantação e não são detalhadas nas fontes consultadas.
Produtos e versões afetadas
- Produto citado na descrição: Online Student Management System 1.0 da code-projects.
- Produto no campo estruturado de afetados: Fabian Online Student Management System, versão 1.0.
- O registro não informa versão corrigida.
O nome do produto difere entre a descrição e o campo estruturado. Administradores devem confirmar qual base de código utilizam antes de tirar conclusões.
Status de exploração
A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA nos dados fornecidos, portanto essa fonte não confirma exploração ativa. A descrição informa que o exploit foi tornado público e poderia ser usado, mas não há confirmação de exploração no ambiente real nas fontes consultadas. A probabilidade EPSS é 0,00441, com percentil de 0,36524.
Correção e mitigação
- Não há correção identificada pelo fornecedor no registro. Trate o status de correção como desconhecido e verifique atualizações junto ao projeto ou fornecedor.
- Restrinja o acesso à interface de login a redes confiáveis e evite expor a aplicação à internet sem revisão de segurança.
- Oriente as equipes de desenvolvimento a substituir consultas montadas por concatenação de texto no código de autenticação por consultas parametrizadas e validação rigorosa de entradas.
- Se a aplicação esteve acessível a usuários não confiáveis, revise e renove as contas e credenciais armazenadas.
- Desative ou isole implantações sem manutenção deste sistema de gestão de estudantes.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas ao manipulador de login, incluindo rajadas de autenticações falhas e mensagens de erro de banco de dados retornadas ao cliente.
- Monitore os logs do banco de dados quanto a atividade inesperada originada da conta usada pela aplicação web.
- Gere alertas para logins bem-sucedidos precedidos por sequências anômalas de requisições de um mesmo endereço de origem.
Limitações das informações disponíveis
O registro não traz versão corrigida, aviso oficial do fornecedor e apresenta uma divergência de nome de produto não resolvida. O CWE atribuído é o CWE-74 (Injection), uma categoria ampla, enquanto a descrição se refere especificamente a injeção de SQL. Outras pontuações do registro divergem: CVSS 4.0 de 5,5 pela CNA, CVSS 3.1 de 7,3 pela CNA e CVSS 2.0 de 7,5 pela CNA, sem que o motivo seja informado. A data do EPSS no registro é 2026-10-13, que deve ser conferida em relação à data de consulta.
Perguntas frequentes
O que é a CVE-2026-2171?
É uma vulnerabilidade de injeção de SQL no componente Login (accounts.php) do Online Student Management System 1.0 da code-projects, acionada pelos argumentos username e password.
Qual é a gravidade?
O NVD atribui pontuação base CVSS 3.1 de 9,8, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. Outros provedores do registro atribuem pontuações diferentes.
Existe correção ou exploração ativa?
O registro não informa versão corrigida. A CVE não consta no catálogo KEV da CISA, e a descrição indica exploit público, mas não há confirmação de exploração no ambiente real nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.